Witam! Witamy na siódmym lekcji kursu . Na Zapoznaliśmy się z profilami bezpieczeństwa, takimi jak filtrowanie webowe, kontrola aplikacji i inspekcja HTTPS. W tej lekcji kontynuujemy naszą znajomość z profilami bezpieczeństwa. Najpierw zapoznamy się z teoretycznymi aspektami działania oprogramowania antywirusowego i systemu zapobiegania włamaniom, a następnie zbadamy, jak te profile bezpieczeństwa działają w praktyce.
Zacznijmy od oprogramowania antywirusowego. Na początek omówimy technologie, które FortiGate wykorzystuje do wykrywania wirusów:
Skanowanie antywirusowe to najprostsza i najszybsza metoda wykrywania wirusów. Określa wirusy, które w pełni odpowiadają sygnaturom zawartym w bazie antywirusowej.
Skanowanie grayware lub skanowanie oprogramowania niepożądanego — ta technologia identyfikuje niechciane programy, które instalują się bez wiedzy lub zgody użytkownika. Technicznie te programy nie są wirusami. Zwykle są dostarczane z innymi programami, ale podczas instalacji negatywnie wpływają na system, dlatego klasyfikuje się je jako złośliwe oprogramowanie. Często takie programy można wykryć za pomocą prostych sygnatur grayware z bazy badawczej FortiGuard.
Skanowanie heurystyczne — ta technologia opiera się na prawdopodobieństwach, dlatego jej użycie może powodować fałszywe pozytywne efekty, jednak można za jej pomocą również wykrywać wirusy zero day. Wirusy zero day to nowe wirusy, które nie zostały jeszcze zbadane i jak dotąd nie istnieją sygnatury, które mogłyby je wykryć. Skanowanie heurystyczne nie jest domyślnie włączone i należy je aktywować w linii poleceń.
Jeśli wszystkie funkcje oprogramowania antywirusowego są aktywowane, FortiGate stosuje je w następującej kolejności: skanowanie antywirusowe, skanowanie grayware, skanowanie heurystyczne.
FortiGate może wykorzystać kilka baz antywirusowych, w zależności od zadań:
- Standardowa baza antywirusowa (Normal) — znajduje się we wszystkich modelach FortiGate. Zawiera sygnatury dla wirusów, które zostały wykryte w ciągu ostatnich miesięcy. Jest to najmniejsza baza antywirusowa, dlatego jej wykorzystanie przyspiesza skanowanie. Jednak ta baza nie może wykryć wszystkich znanych wirusów.
- Rozszerzona (Extend) — ta baza jest wspierana przez większość modeli FortiGate. Umożliwia wykrywanie wirusów, które są już nieaktywne. Wiele platform wciąż jest podatnych na te wirusy. Te wirusy mogą również przynieść problemy w przyszłości.
- Ostatnia, ekstremalna baza (Extreme) — wykorzystywana w infrastrukturach, gdzie wymagany jest wysoki poziom bezpieczeństwa. Umożliwia wykrywanie wszystkich znanych wirusów, w tym wirusów ukierunkowanych na przestarzałe systemy operacyjne, które obecnie nie są szeroko stosowane. Ten typ bazy sygnatur nie jest również wspierany przez wszystkie modele FortiGate.
Istnieje również kompaktowa baza sygnatur, przeznaczona do szybkiego skanowania. O niej porozmawiamy później.
Bazy antywirusowe można aktualizować różnymi metodami.
Pierwsza metoda — Push Update — pozwala na aktualizację baz natychmiast po wydaniu aktualizacji przez bazę badawczą FortiGuard. Jest to przydatne dla infrastruktur, które wymagają wysokiego poziomu bezpieczeństwa, ponieważ FortiGate otrzymuje pilne aktualizacje zaraz po ich pojawieniu się.
Druga metoda to ustawienie harmonogramu. W ten sposób aktualizacje można sprawdzać co godzinę, dzień lub tydzień. Oznacza to, że zakres czasowy ustalasz według własnych preferencji.
Te metody można stosować razem.
Należy jednak pamiętać, że aby aktualizacje mogły być przeprowadzane, należy włączyć profil antywirusowy przynajmniej w jednej polityce zapory ogniowej. W przeciwnym razie aktualizacje nie będą realizowane.
Można również pobierać aktualizacje ze strony wsparcia Fortinet, a następnie ręcznie załadować je na FortiGate.
Rozważmy tryby skanowania. Jest ich trzy — tryb pełny w trybie Flow Based, tryb szybki w trybie Flow Based oraz tryb pełny w trybie proxy. Zacznijmy od trybu pełnego w trybie Flow.
Załóżmy, że użytkownik chce pobrać plik. Wysyła on żądanie. Serwer zaczyna przesyłać mu pakiety, z których składa się plik. Użytkownik natychmiast otrzymuje te pakiety. Jednak zanim zostaną one przekazane użytkownikowi, FortiGate je buforuje. Po odebraniu ostatniego pakietu, FortiGate zaczyna skanować plik. W tym czasie ostatni pakiet jest ustawiany w kolejce i nie jest przekazywany użytkownikowi. Jeśli plik nie zawiera wirusów, ostatni pakiet jest wysyłany do użytkownika. W przeciwnym razie, jeśli wykryty zostanie wirus, FortiGate przerywa połączenie z użytkownikiem.
Drugi tryb skanowania dostępny w Flow Based to Tryb Szybki. Wykorzystuje on kompaktową bazę sygnatur, która zawiera mniej sygnatur niż standardowa baza. Ma również pewne ograniczenia w porównaniu do Trybu Pełnego:
- Nie może wysyłać plików do piaskownicy
- Nie może korzystać z analizy heurystycznej
- Nie może także używać pakietów związanych z mobilnym złośliwym oprogramowaniem
- Niektóre modele podstawowe nie obsługują tego trybu.
Tryb Szybki także sprawdza ruch pod kątem wirusów, robaków, trojanów i złośliwego oprogramowania, lecz bez buforowania. Zapewnia to lepszą wydajność, ale jednocześnie zmniejsza prawdopodobieństwo wykrycia wirusa.
W trybie Proxy dostępny jest tylko jeden tryb skanowania — Tryb Pełny. W takim skanowaniu FortiGate najpierw przechowuje cały plik u siebie (o ile nie przekroczony zostanie dozwolony rozmiar pliku do skanowania). Klient musi czekać, aż skanowanie się zakończy. Jeśli podczas skanowania zostanie wykryty wirus, użytkownik zostanie natychmiast powiadomiony. Ponieważ FortiGate najpierw przechowuje cały plik, a potem go skanuje, może to zająć dość dużo czasu, co może prowadzić do zakończenia połączenia przez klienta przed otrzymaniem pliku z powodu długiego opóźnienia.
Na poniższym rysunku przedstawiona jest tabela porównawcza trybów skanowania — pomoże ci ustalić, jaki rodzaj skanowania będzie odpowiedni dla twoich potrzeb. Konfiguracja i sprawdzanie działania oprogramowania antywirusowego omówione są na praktycznym przykładzie w filmie na końcu artykułu.
Przejdźmy do drugiej części lekcji — systemu zapobiegania włamaniom. Jednak zanim zaczniemy poznawanie IPS, musimy zrozumieć różnicę między exploitami a anomaliami oraz dowiedzieć się, jakie mechanizmy wykorzystuje FortiGate do ochrony przed nimi.
Eksploity to znane ataki z konkretnymi wzorcami, które można wykryć za pomocą IPS, WAF lub sygnatur antywirusowych.
Anomalie to nietypowe zachowanie w sieci, na przykład niezwykle duża ilość ruchu lub wyższe niż zwykle zużycie CPU. Anomalie należy monitorować, ponieważ mogą być oznaką nowego, nieznanego jeszcze ataku. Anomalie zwykle wykrywa się za pomocą analizy behawioralnej — tzw. sygnatur opartych na wskaźnikach oraz polityk DoS.
Ostatecznie — IPS na FortiGate wykorzystuje bazy sygnatur do wykrywania znanych ataków oraz sygnatury oparte na wskaźnikach i polityki DoS do wykrywania różnych anomalii.
Domyślnie podstawowy zestaw sygnatur IPS jest włączony w każdej wersji systemu operacyjnego FortiGate. Dzięki aktualizacjom FortiGate otrzymuje nowe sygnatury. W ten sposób IPS pozostaje skuteczne przeciwko nowym exploitom. Usługa FortiGuard regularnie aktualizuje sygnatury IPS.
Istotną sprawą, która dotyczy zarówno IPS, jak i antywirusów — jeśli twoje licencje wygasły, nadal możesz korzystać z ostatnio otrzymanych sygnatur. Nie będziesz jednak mógł uzyskać nowych sygnatur bez licencji. Dlatego brak licencji jest niezwykle niepożądany — w przypadku nowych ataków nie będziesz mógł chronić się starymi sygnaturami.
Bazy sygnatur IPS dzielą się na zwykłą i rozszerzoną. Zwykła baza zawiera sygnatury dla powszechnych ataków, które rzadko lub wcale nie wywołują fałszywych alarmów. Wstępnie ustawione działanie dla większości takich sygnatur to blokada.
Rozszerzona baza zawiera dodatkowe sygnatury ataków, które znacznie wpływają na wydajność systemu lub których nie można zablokować ze względu na ich specyfikę. Z powodu rozmiaru takiej bazy, nie jest ona dostępna dla modeli FortiGate z małym dyskiem twardym lub RAM. Jednak w środowiskach o wysokim poziomie bezpieczeństwa może być konieczne skorzystanie z rozszerzonej bazy.
Konfiguracja i weryfikacja działania IPS również zostały omówione w poniższym wideo.
W następnej lekcji omówimy pracę z użytkownikami. Aby jej nie przegapić, śledź aktualizacje na następujących kanałach:
Źródło: habr.com
